Des nouvelles de SWIFT

Pour ceux qui s’intéressent au cas SWIFT déja évoqué sur ce blog et à ce qu’il révèle du grignotage progressif des libertés individuelles, voici les derniers rebondissements de cette curieuse affaire.

 

Le 24/07/2009, le Conseil des Ministres de l’Union européenne a autorisé l’ouverture de négociations avec les Etats-Unis pour parvenir à un accord sur l’accès des autorités nord américaines aux informations du réseau Swift. Cette décision prend la forme d'un mandat de négociation confié à la Commission européenne. Selon le Commissaire Jacques Barrot, chargé de la Justice, de la Liberté et de la Sécurité, il ne s’agit pas pour autant de donner un chèque en blanc aux Etats-Unis, assurance qui a pour but de répondre aux critiques nombreuses exprimées notamment sur les bancs du Parlement Européen. Pour le groupe des Verts, par exemple, la Commission et le Conseil veulent agir sans intervention du Parlement alors que l’accord menace les droits fondamentaux des citoyens. La Commission par la voix de Jacques Barrot s’en défend et souligne que l’accord envisagé est simplement temporaire et destiné à durer quelques mois. En fait, ce sont les Etats-Unis qui sont demandeurs d’un tel accord car le contexte a changé depuis que l’affaire Swift a éclaté : Swift aurait décidé de transférer dès l’automne ses banques de données aux Pays-Bas et en Suisse. Seul resterait aux Etats-Unis un serveur contenant uniquement les données américaines. Dès lors, si un accord n’est pas conclu avec l’UE, les Etats-Unis dépendraient du bon vouloir des différents pays membres de l’UE pour avoir accès à leurs informations.

 

Passée la période temporaire, c’est bien la question de la protection des données privées qui devra faire l’objet de règles plus précises et nécessitera pour cela un accord UE/ Etats Unis. Et cela ne pourra se faire sans les eurodéputés, comme l’a d’ailleurs relevé le commissaire Barrot lord de son audition devant la commission parlementaire des Libertés civiles, le 23/07.

 

En tant que représentant des citoyens, le Parlement demande depuis longtemps et avec insistance à être associé aux négociations avec les autorités nord américaines, sans grand succès. Mais, en session plénière le 16/09/2009, les représentants de la Commission européenne et du Conseil, seules institutions européennes parties prenantes aux négociations pour le moment, ont affirmé que l’accord actuellement en vigueur deviendrait caduc dans un an et que les nouvelles règles du traité de Lisbonne s’appliquant (si celui-ci est adopté d’ici là) le Parlement européen aura le dernier mot sur le nouvel accord. Si l’arrivée du Parlement dans un dossier jusque là géré par les états et la Commission peut a priori sembler rassurante, encore faudra-t-il que les mots de défense des droits ne soient pas une simple incantation. Car il est sans doute tentant pour les pays européens d’accepter que les Etats-Unis aient accès aux données de leurs citoyens… du moment qu’ils partageront avec eux l’information recueillie.

 

Le 29/09, lors d’une audition devant les députés français membres de la Commission pour les affaires européennes, Alex Türk, Président de la Commission Nationale de l’Informatique et des Libertés (CNIL) a dit tout le mal qu’il pensait de cet échange de « bons procédés » entre l’Union et les Etats-Unis car «  il existe un fossé entre les conceptions américaine et européenne de la protection des données personnelles et de la vie privée » (remarque faite par Alex Turk après avoir pris la précaution de rappeler en préliminaire qu’il souscrit aux objectifs de la lutte contre le terrorisme). Entre autres morceaux choisis, je citerai celui-ci : « J’ai pour ma part mené des consultations à Paris auprès des banques et, à Bruxelles, auprès du groupe des 27 CNIL européennes, que je préside, ainsi que des ministères et de diverses autres autorités. Les autres CNIL ont fait de même dans leurs pays respectifs. Il est apparu que nous avions en réalité peu de garanties sur l’usage que faisaient de ces informations les autorités des Etats-Unis. Etaient-elles conservées exclusivement par les autorités chargées de la lutte contre le terrorisme, ou pouvaient-elles être communiquées à d’autres autorités américaines, intervenant notamment dans le domaine commercial ? Nous n’avons obtenu aucune information à ce propos et les bruits qui nous parvenaient n’avaient rien de rassurant. La même incertitude prévalait quant à la durée de conservation de ces informations ». Sur le système de garanties mis en place après la découverte du pot aux roses en 2006, et qui prévoit notamment un contrôle sur place par une « personnalité éminente » (le juge Bruguière) nommée par les institutions européennes, M.Türk ne s’est guère montré plus rassurant : « J'étais personnellement très satisfait de ce que je considérais alors comme une grande victoire des CNIL européennes, mais j’étais trop optimiste… » dit-il. Car le rapport rendu par le juge s’est avéré…fort curieux. C’est assez "savoureux", je cite donc intégralement : « Auditionné à son retour devant le groupe de l'article 29, réunissant les 27 CNIL européennes, à Bruxelles, il (le juge Bruguière) a déclaré en substance que tout allait très bien, que les autorités américaines étaient très efficaces dans leur lutte contre le terrorisme et que rien ne s'opposait à ce que le système soit maintenu en l'état. Il a toutefois déclaré aussi qu'il ne pouvait pas nous rendre son rapport, au motif que les autorités américaines avaient décidé de le classifier. Pour la première fois donc, à la grande surprise des CNIL européennes, un contrôlé classifiait le rapport du contrôleur ! Quatre mois après son audition, M. Bruguière ne nous a toujours pas fourni ce rapport. Auditionné à Paris devant la CNIL, il a accepté l’idée de nous remettre une note qui le synthétiserait. Après quatre rappels, je n'ai toujours pas reçu cette note.

Dès lors, nous n'avons plus aucune garantie de la part du contrôleur européen que tout se passait conformément aux accords conclus entre l'Union européenne et les Etats-Unis. Cependant, sur la foi du rapport – inconnu – de M. Bruguière, la Commission européenne a considéré qu'il n'y avait plus de raison d'interdire aux Etats-Unis d'accéder aux données sur les transactions intra-européennes à partir du nouveau centre ». Et de conclure : « J'ai tenu à être auditionné par votre commission non seulement parce que cette question est de votre compétence, mais aussi parce que le débat devrait être rouvert avec la ratification du traité de Lisbonne. Il importe de préparer cette discussion globale, qui sera sans doute la dernière, pour tenter d'obtenir le respect des garanties évoquées ».

 

La balle est dans le camp du Parlement européen qui aura un rôle accru dans la renégociation de l'accord. A lui de s’en saisir.

 

Domaguil

Affaire Swift, le juge Bruguière rend son rapport

En juin 2006 éclatait le scandale SWIFT. On  découvrait que l'administration nord américaine avait de fort mauvaises manières et, peu respectueuse de la confidentialité des données personnelles, avait contraint la société Swift à lui fournir des données financières  personnelles sur les clients européens des banques qui utilisent ses services, dans le cadre du « programme de traque du financement du terrorisme » (TFTP).

A la suite du tollé provoqué par cette découverte, l'Union européenne avait du négocier avec les Etats-Unis un accord pour déterminer les conditions de communication des données bancaires et, au terme des discussions, les Etats-Unis s'étaient engagés en juin 2007 sur des contrôles et des sauvegardes à appliquer au traitement, à l'utilisation et à la diffusion des données concernées par le programme (publiés ensuite au Journal Officiel de l'Union Européenne). Les autorités américaines concernées (le Département du Trésor) s'engageaient à utiliser les données SWIFT obtenues sur injonction exclusivement à des fins de lutte contre le terrorisme, à ne pas conserver les données au-delà de délais déterminés dans les circonstances appropriées, et à procéder régulièrement à des contrôles afin d'identifier et d'effacer toute donnée qui ne serait pas nécessaire pour lutter contre le terrorisme. Les engagements confirmaient aussi que la limitation stricte aux fins contre-terroristes devait s'appliquer également aux informations en provenance de SWIFT échangées avec d'autres agences américaines ou avec des pays tiers. Enfin, ils  prévoyaient la désignation d'une « personnalité éminente européenne » chargée de contrôler  la mise en oeuvre des engagements des autorités américaines  en ce qui concerne la protection des données personnelles en provenance de l'Union européenne.

Et c'est ainsi que le juge français Jean-Louis Bruguière, connu pour son expérience des affaires de terrorisme, a été choisi en mars 2008.

La Commission européenne vient de rendre public, le 17/02/2009,  le premier rapport annuel établi par le juge. Il confirme que les procédures appliquées par le département du Trésor respectent les engagements pris en 2007 et  permettent de garantir la protection des données personnelles. Il préconise aussi des recommandations destinées à assurer la pérennité et le renforcement de ces mesures.

Domaguil

On reparle de SWIFT

Depuis les révélations sur les étranges pratiques de la société SWIFT, et l’audition organisée par le  Parlement européen le 4 octobre dernier, le silence semble s’être fait…sauf du côté du Parlement européen (devant lequel  la question devrait revenir cette semaine) et du Contrôleur européen de la protection des données (CEPD). Cet empêcheur d’espionner en rond  s’obstine à faire des remontrances au « pauvre » M.Trichet, qui en sa qualité de président de la Banque Centrale Européenne a déjà d’autres soucis, étant dans le collimateur des « présidentiables » français pour cause d’euro fort qui serait préjudiciable à la croissance.

 

 

Le CEPD devait notamment déterminer si la BCE était obligée de réagir à la violation possible de la  protection des données dont elle avait eu connaissance.

Ses conclusions sont exposées dans un avis rendu public le 1^er févier, dans lequel le CEPD, après avoir rappelé la position de la BCE dans du système de paiement SWIFT (superviseur, utilisateur, et décideur), observe que lorsque la BCE a décidé de recourir aux services de SWIFT pour ses opérations de paiement, elle s'est placée dans une position de co-responsable de traitement. Donc, elle est co-responsable de la conformité à la législation sur la protection des données, qui inclut notamment le respect du principe de limitation de la finalité, l'information aux personnes concernées, et des garanties adéquates lorsque les données personnelles sont transférées dans des pays tiers. Voilà qui commence plutôt mal pour la BCE. Car comme le dit Peter Hustinx, CEPD: "Comme toute autre banque, la BCE ne peut se soustraire à certaines responsabilités dans l'affaire SWIFT qui a porté atteinte à la confiance et à la vie privée de millions de gens. L'accès secret, routinier et massif d'autorités de pays tiers à des données bancaires est inacceptable. La communauté financière devrait donc fournir des systèmes de paiement qui n'enfreignent pas la réglementation européenne en matière de protection des données ».

 

 

Cependant, malgré ce constat sévère, l’avis parvient à une conclusion modérée sur l’incrimination proprement dite de la BCE, au motif que celle-ci  n’avait pas les prérogatives qui lui auraient permis de contrôler SWIFT La BCE serait ainsi  « responsable mais pas coupable », selon une formule qui eut son heure de célébrité antan.

 

 

Beaucoup de bruit pour rien ? Non, car la violation de la législation communautaire relative à la protection des données personnelles par la société SWIFT  semble de jour en jour se confirmer. Telle est l’opinion du CEPD qui appelle à la fois à une clarification du  rôle de la BCE  au sein du système SWIFT et  des règles de confidentialité, ainsi qu’à la définition de procédures permettant de respecter la législation communautaire sur la protection des données personnelles.

 

 

Telle est également l’opinion du groupe de l’article 29 (organe consultatif européen indépendant sur la protection des données et de la vie privée créé par les articles 29 et 30 de la directive 95/46 et l'article 15 de la directive 2002/58 . Dans un avis du 22/11/2006), celui-ci conclut à la coresponsabilité de SWIFT et des banques qui utilisent ses services dans le respect des règles de traitement des données à caractère personnel, à l’existence d’une violation de ces règles et demande également une « clarification concernant la surveillance de SWIFT.

 

 

L’affaire devrait donc avoir deux prolongements: la révision des règles de fonctionnement de SWIFT pour les mettre en accord avec législation européenne et les actions en justice qui pourraient être intentées dans  différents pays. En ce qui concerne l’Union européenne, selon le CEPD, des plaintes ont été déposées auprès des autorités de la protection des données partout en Europe.

 

Domaguil

Les malheurs de SWIFT

 

Deuxième épisode de « Big brother is watching you » : après avoir épluché  les informations personnelles des passagers aériens, voici comment l’administration  américaine met le nez dans nos opérations bancaires.

 

Imaginez une société basée en Belgique,  prospérant avec discrétion dans le monde feutré des banques à qui elle fournit des services de messagerie sécurisés grâce auxquels elles peuvent échanger ordres de paiement et informations par delà les frontières. 7800 banques dont un grand nombre de banques centrales de plus de 200 pays recourent à ses services et lui font confiance. Pour justifier cette confiance, cette société, SWIFT, sauvegarde consciencieusement les messages sur un site miroir dont le serveur est situé aux Etats-Unis.

 

 

Tout va pour le mieux dans le meilleur des mondes financier…jusqu’au jour où, l’administration Bush qui s’est engagée dans une lutte sans merci contre les terroristes réels et supposés, s’avise du trésor inexploité que constitue la mine d’informations détenue par SWIFT. Qui sait si derrière certaines des millions de transactions financières transitant par les tuyaux de SWIFT ne se cachent pas des émules de Ben Laden ? Un beau matin, les services du Trésor américain mettent le marché sur la table de SWIFT : « ou tu  nous laisses jeter un œil sur tes données ou tu écopes d’amendes record et en prime tu fais connaissance avec nos prisons » (le tutoiement est une licence destinée à suggérer que nous sommes dans un monde où la diplomatie n’est pas de mise).

 

 

SWIFT ne sait que faire. Elle n’est pas vraiment tentée par la perspective de voir amputer sa cagnotte. Encore moins par celle d’aller faire un tour par la case prison. Mais, d’autre part, ce qui lui est demandé est-il bien régulier ? Si elle obéit aux injonctions américaines ne viole-t-elle pas les droit belge et communautaire ? Pas sûr que les règles de protection de la vie privée en Europe s’accommodent des méthodes expéditives adoptées outre Atlantique depuis le 11 septembre. Bref, SWIFT ne sait plus à quel droit se vouer.

 

 

Dans son désarroi, elle se tourne vers le comité de supervision qui contrôle ses activités selon ses statuts. Les éminences qui en sont membres, présidents de banques centrales, comme la Banque nationale de Belgique ou la Banque centrale européenne, sauront sans doute ce qu’il convient de faire. Hélas ! Le comité veut bien superviser le bon fonctionnement des tuyaux mais pas s’occuper de l’imbroglio juridique dans lequel est plongée SWIFT. Pas de mon ressort, dit la BCE, par exemple. Et SWIFT se voit priée de se débrouiller tandis que BCE et Banque nationale belge regardent ailleurs, appliquant les trois préceptes de la sagesse : ne rien dire, ne rien entendre, ne rien voir.

 

 

Il reste un recours à SWIFT : les juristes. Elle prend conseil : si elle obéit aux américains viole-t-elle la loi belge et le droit communautaire ? Mais non, lui répond-on benoîtement.

 

 

Ainsi rassurée, SWIFT peut se lancer dans une loyale coopération avec les services américains et laisser les hérauts du monde libre fouiner dans des  renseignements concernant des centaines de milliers d'européens.

Sans trop d’états d’âme…du moins tant que l’affaire n’apparaît pas au grand jour. Mais c’est compter sans le 4^ème pouvoir qui quelquefois joue son rôle. En juin 2006, le pot aux roses est révélé par des journaux américains, SWIFT sommée de s’expliquer, la BCE et la Banque nationale de Belgique tirées de leur torpeur, et le Parlement européen monte aux créneaux en organisant une audition publique le 4 octobre pour tenter d’y voir plus clair.

 

 

Devant les députés, SWIFT n’en mène pas large : la voilà soupçonnée, alors qu’elle pensait être tranquille, d’avoir violé les règles communautaires sur la protection des données personnelles.  Le Président de la BCE est lui-même quelque peu malmené (sacrilège) par des députés lourdement insistants.

 

 

La Commission européenne fait la tête aussi. Il faut dire qu’elle a apparemment tout appris par la presse : ça fait négligé.

 

 

Mais le plus remonté, c’est le Contrôleur européen pour la protection des données, un petit nouveau dans la nébuleuse des divers organismes européens et qui ne perd pas une occasion de se faire remarquer, avec la fougue des débutants. Le voilà qui s’en prend à l’auguste BCE à qui il reproche de n’avoir prévenu ni les états, ni les institutions européennes, au mépris de son devoir « moral » (oui, oui, il parle de morale le Contrôleur, c’est rafraîchissant). Il faut dire que la BCE n’a pas arrangé son cas en continuant à utiliser SWIFT après qu’elle ait appris que l’administration américaine surveillaient les transactions, qui est tout de même le comble de la distraction.

 

 

Pour le moment, on est là. Une fois de plus, les américains ont réussi à mettre une belle pagaïe entre les européens qui ne savent pas trop quelle conduite tenir, faute d’avoir les moyens de riposter efficacement aux mauvaises manières de l’administration Bush.

 

 

Mais après tout, est-ce si important diront certains. Nous sommes « en guerre contre le terrorisme », on nous le répète bien assez, cela justifie bien quelques petits sacrifices. Et de bonnes âmes d’ajouter que ceux qui n’ont rien à cacher n’ont rien à craindre.

 

 

A cela je répondrai tout d’abord que ce n’est pas sûr : certains individus et corps de métiers, appliquent une présomption de culpabilité et non d’innocence (par exemple, allez expliquer à un CRS en pleine action que : non, vous ne manifestiez pas mais faisiez votre shopping).

 

 

Et en deuxième lieu, je dirai que le problème n’est pas là, mais dans le fait que des autorités étrangères s’arrogent le droit de consulter des informations privées en vertu de lois mettant en œuvre des options politiques sur lesquelles je n’ai pas eu mon mot à dire n’étant pas de leurs ressortissants, quelquefois à mon insu, sans que je sache quelle utilisation exacte va en être faite, et combien de temps elles vont être conservées.

 Cela se passe tous les jours et dans bien des domaines ? Ce n’est pas une raison pour s’accommoder de ce grignotage continu de nos droits de citoyens.

 

Domaguil

 

NB: Pour plus de détails sur l'affaire SWIFT, voir l'article sur le site eurogersinfo